Остерегайтесь криптомошенников!

[A-Bolt]

Libbitcoin это не кошелёк, а набор библиотек на С++

В новости речь идёт о консольной утилите libbitcoin-explorer, которая сама по себе позволяет генерировать мнемонические фразы и приватные ключи.

[1714326054]

1714326054

[satscraper]

Libbitcoin это не кошелёк, а набор библиотек на С++

В новости речь идёт о консольной утилите libbitcoin-explorer, которая сама по себе позволяет генерировать мнемонические фразы и приватные ключи.

Те же яйца.

Я отреагировал на пост, в котором речь идёт о кошельке. Саму новость не читал.  bx (или по вашему консольная утилита) это приложение использующее библиотеки Libbitcoin, 

[witcher_sense]

А как это спасёт? Особенно если у аппаратника закрытый код? Он точно так же может организовать генерацию сид-фразы с помощью недостаточно рандомного генератора псевдослучайных чисел, и тогда взломщики прекрасно взломают и его. Любой технарь на форуме скажет, что генерить себе адреса надо только программно, потому что человек недостаточно случайно выберет адрес. Но если доверяешь программке то, в чём сам не понимаешь, то риск столкнуться с такой проблемой есть вне зависимости от конкретного кошелька, с аппаратником в такой же мере.

Если использовать популярный опенсорсный кошелек, в котором испольуется не программный псевдорандом, а нормальный аппаратный источник энтропии, то это может спасти в таких случаях. За закрытый код ничего сказать нельзя, здесь вы покупаете кота в мешке и надеетесь, что он не станет левые фишки вводить как тот же Ledger. Но если вы не доверяете даже открытому аппаратнику, то здесь самостоятельная генерация ничего не даст, кроме потенциально слабой энтропии. Лучше уж тогда пользуйтесь обычными бумажными кошельками и радуйтесь супер-безопасности, потому что такие уязвимости обнаруживаются сейчас и будут обнаруживаться в будущем, от этого не защищены ни аппаратные, ни программные кошельки.

[jokers10]

А как это спасёт? Особенно если у аппаратника закрытый код? Он точно так же может организовать генерацию сид-фразы с помощью недостаточно рандомного генератора псевдослучайных чисел, и тогда взломщики прекрасно взломают и его. Любой технарь на форуме скажет, что генерить себе адреса надо только программно, потому что человек недостаточно случайно выберет адрес. Но если доверяешь программке то, в чём сам не понимаешь, то риск столкнуться с такой проблемой есть вне зависимости от конкретного кошелька, с аппаратником в такой же мере.

Если использовать популярный опенсорсный кошелек, в котором испольуется не программный псевдорандом, а нормальный аппаратный источник энтропии, то это может спасти в таких случаях. За закрытый код ничего сказать нельзя, здесь вы покупаете кота в мешке и надеетесь, что он не станет левые фишки вводить как тот же Ledger. Но если вы не доверяете даже открытому аппаратнику, то здесь самостоятельная генерация ничего не даст, кроме потенциально слабой энтропии. Лучше уж тогда пользуйтесь обычными бумажными кошельками и радуйтесь супер-безопасности, потому что такие уязвимости обнаруживаются сейчас и будут обнаруживаться в будущем, от этого не защищены ни аппаратные, ни программные кошельки.

Если для создания бумажного кошелька будет использоваться такая же программка, как Libbitcoin в тех её версиях, где была уязвимость, то никакой бумажный кошелёк не будет защитой. Бумажный кошелёк тоже ведь не сам по себе образуется. Поэтому проблема не решается за счёт выбора типа кошелька, тут важно именно чтобы при формировании приватника или сид-фразы не оказалось, что каким-то образом сильно сужено поле возможных вероятных ключей. Потому что взлом в данной истории идёт путём перебора, а не доступа к кошельку в любом его виде.

[witcher_sense]

Если для создания бумажного кошелька будет использоваться такая же программка, как Libbitcoin в тех её версиях, где была уязвимость, то никакой бумажный кошелёк не будет защитой. Бумажный кошелёк тоже ведь не сам по себе образуется. Поэтому проблема не решается за счёт выбора типа кошелька, тут важно именно чтобы при формировании приватника или сид-фразы не оказалось, что каким-то образом сильно сужено поле возможных вероятных ключей. Потому что взлом в данной истории идёт путём перебора, а не доступа к кошельку в любом его виде.

Понятно, что тип кошелька здесь не играет особой роли, так как сид-фраза может быть сгенерирована небезопасным способом через псевдорандомный алгоритм. Просто создание бумажного кошелька или покупка аппаратного - это осознанный шаг, и пользователь должен изучать всю необходимую информацию прежде чем предпринимать его. Если бумажный кошелек, то готовится необходимый сетап, проверяются все алгоритмы, в том числе необходимо проверить достаточно ли популярны используемые библиотеки, как много контрибуторов и код ревьюверов. Необязательно проверять все самому или знать как это делать, тут вполне достаточно доверия. В случае аппаратника требования попроще, в случае сомнений можно чекнуть обзоры на форуме или спросить совета.

[jokers10]

Канадский центр по борьбе с мошенничеством предупреждает, что участились случаи фейковых предложений о работе с предложением оплаты в криптовалюте. Смысл мошенничества в том, что для выполнения рабочих задач требуется установка специального программного обеспечения, включая, насколько я понимаю, криптокошелёк. На этот криптокошелёк якобы начисляется зарплата, но снять с него ничего нельзя. Цель мошенников в том, чтобы пострадавшие также пополняли этот криптокошелёк, с которого средства на самом деле выводят сами мошенники.

Также по-прежнему актуальна проблема найма доверчивых граждан быть посредниками в мошеннических платежах, когда людей приглашают на работу операторами платежей: они должны на свои счета получать платежи от клиентов и переводить потом «работодателю» эти деньги в биткойнах. Проблема в том, что такие «работники» потом могут оказаться обвиняемыми в соучастии в преступлении.


Плюсиком история из Великого Новгорода, где очередной доверчивый гражданин по входящему телефонному звонку опять решил поучаствовать в инвестировании в биткойн. Когда он успел уже за больше месяца наинвестировать на 400 тысяч рублей, он решил-таки попробовать вывести средства с биржи, и тут неожиданно выяснил, что у него там нет аккаунта.

Я не понимаю, при всём количестве материалов о телефонных мошенниках, как по-прежнему можно им переводить и переводить деньги-то?! Gosh!

[TopTort777]

Почему вокруг меня такие богатые дурочки не водятся (хотя это наверно и к лучшему)? Я бы у них взял кредит на супер лайтовых условиях. Почему в интернете мамонты не переведутся? Ведь они не первый раз в сеть вошли, раз сумели переводы сделать. Что-то ведь про безопасность наверно слышали; у них ведь явно есть друзья, кто не первый день в сети. Когда же люди поумнеют и поймут, что легких денег без последствий просто не существует. Меня вот больше всего поражает, что мошенник это всегда какой-то посредник. Ну неужели пользователю сложно самому кнопки пожмакать, разобраться во всем, проверить. Нет же, надо всегда соглашаться на чью-то «безвозмездную» помощь…

[witcher_sense]

Канадский центр по борьбе с мошенничеством предупреждает, что участились случаи фейковых предложений о работе с предложением оплаты в криптовалюте. Смысл мошенничества в том, что для выполнения рабочих задач требуется установка специального программного обеспечения, включая, насколько я понимаю, криптокошелёк. На этот криптокошелёк якобы начисляется зарплата, но снять с него ничего нельзя. Цель мошенников в том, чтобы пострадавшие также пополняли этот криптокошелёк, с которого средства на самом деле выводят сами мошенники.

Интересно, мошенники играют роль работодателя, проводят встречи и назначают задачи и все это ради обмана пользователя? По-видимому, представители криптовалютного коммьюнити уже настолько заматерели, что мошенникам нужно постоянно извращаться и еще и обучаться актерскому мастерству для успешной преступной деятельности. Им бы эту энергию в правильное русло направить и начать зарабатывать честным трудом. А вообще ситуация интересная... У кого-нибудь здесь в ру-локале есть опыт работы (не подписные) с оплатой в криптовалюте? Часто ли работодатели просят устанавливать конкретные кошельки и вообще указывают ли они левую криптовалюту в качестве оплаты? В вакансиях что я видел, предлагается оплата в Bitcoin и USDT, и обычно работодатель или HR дополнительно уточняют, удобно ли соискателю сам способ оплаты.

[jokers10]

Интересно, мошенники играют роль работодателя, проводят встречи и назначают задачи и все это ради обмана пользователя?

Нет, они представляются представителями каких-то реальных компаний и приглашают пофрилансерствовать на них, так что встреч не проводят, всё общение ведут через удалённые средства связи. Но фрилансеры к этому привычные.

У кого-нибудь здесь в ру-локале есть опыт работы (не подписные) с оплатой в криптовалюте? Часто ли работодатели просят устанавливать конкретные кошельки и вообще указывают ли они левую криптовалюту в качестве оплаты? В вакансиях что я видел, предлагается оплата в Bitcoin и USDT, и обычно работодатель или HR дополнительно уточняют, удобно ли соискателю сам способ оплаты.

А зачем им те, кто более-менее разбирается в криптовалютах? Такие как раз с меньшей вероятностью попадутся в подобные расставленные садки. А что касается посетителей форума... нередко в такой откровенный скам люди деньги несут (да и со мной бывает, никто не застрахован), что и здесь оказывается, что не все особо разбираются. А уж поставить неизвестный кошелёк для вознаграждения за какую-нибудь баунти — так это вообще массово и за милое дело!

[klarki]

А вообще ситуация интересная... У кого-нибудь здесь в ру-локале есть опыт работы (не подписные) с оплатой в криптовалюте? Часто ли работодатели просят устанавливать конкретные кошельки и вообще указывают ли они левую криптовалюту в качестве оплаты? В вакансиях что я видел, предлагается оплата в Bitcoin и USDT, и обычно работодатель или HR дополнительно уточняют, удобно ли соискателю сам способ оплаты.

У меня есть, причем с некоторыми проектами оформлялись официально, в документации четко прописывалось куда (на какой адрес), сколько (обычно соглашался на 70% в крипте, и 30% в фиате). Были и рабочие отношения, когда оплата была в какой-то экзотической крипте, но чтобы ставить какое-то. левое ПО, такого не был.

[andy_pelevin]

У кого-нибудь здесь в ру-локале есть опыт работы (не подписные) с оплатой в криптовалюте? Часто ли работодатели просят устанавливать конкретные кошельки и вообще указывают ли они левую криптовалюту в качестве оплаты? В вакансиях что я видел, предлагается оплата в Bitcoin и USDT, и обычно работодатель или HR дополнительно уточняют, удобно ли соискателю сам способ оплаты.

Работал более года в одном стартапе где то на востоке, точно локацию не знаю, да и моей локацией ни кто не интересовался. Работа не пыльная, не криминал,   доставал из разных блокчейнов то, чего попросят. Оплата в биткойнах раз в месяц, платили хорошо. По количеству работы - раз на раз не приходилось, в основном, получалось справляться за 6-8 часов в день, но бывали дни с загрузкой и по 12-14 часов. Совсем без работы дни тоже были...  Когда дней без работы стало много - работа кончилась  

[Inwestour]

Очередная история когда Норфолка украли около $200к. В рекламе инвестиций в криптовалюту женщина заполнила форму, а дальше все по классике, с ней связались на протяжении нескольких месяцев налаживали доверительные отношения, и в итоге уговорили ее дать доступ к ноутбуку и телефону, для перевода крупных сумм для инвестиций. Понятно чем это все закончилось, когда женщина обратилась в банк то выяснила что деньги просто украли. Источник.

В итоге женщина осталась ни с чем и теперь она говорит, что боится за свою будущее, потому что у нее ничего не осталось. Понятно что сейчас в ней говорит отчаянье, и если сумела скопить такие средства, то что то сможет скопить еще, но очевидно что больше никогда не будет такой доверчивой. Слишком дорогой урок.

[jokers10]

В итоге женщина осталась ни с чем и теперь она говорит, что боится за свою будущее, потому что у нее ничего не осталось. Понятно что сейчас в ней говорит отчаянье, и если сумела скопить такие средства, то что то сможет скопить еще, но очевидно что больше никогда не будет такой доверчивой. Слишком дорогой урок.

Мошенники же не интересуются судьбами тех, кого они обманывают. Вероятно, они являются социопатами или психопатами, поэтому им всё равно. Соответственно, чтобы собрать с жертвы максимум, они часто пользуются возможностью взять кредиты, в том числе под залог недвижимости и иного имущества, так что необязательно то, что они похитили у этой женщины, это только накопления. Возможно, на ней теперь ещё висит и какой-то неподъёмный кредит. По крайней мере, когда идут публикации о пострадавших в России, практически все они оказываются с огромным, в сравнении с их доходом, кредитом. И мало что без сбережений, ещё и выкарабкиваться из глубокой финансовой ямы...

[Inwestour]

Мошенники же не интересуются судьбами тех, кого они обманывают. Вероятно, они являются социопатами или психопатами, поэтому им всё равно. Соответственно, чтобы собрать с жертвы максимум, они часто пользуются возможностью взять кредиты, в том числе под залог недвижимости и иного имущества, так что необязательно то, что они похитили у этой женщины, это только накопления. Возможно, на ней теперь ещё висит и какой-то неподъёмный кредит. По крайней мере, когда идут публикации о пострадавших в России, практически все они оказываются с огромным, в сравнении с их доходом, кредитом. И мало что без сбережений, ещё и выкарабкиваться из глубокой финансовой ямы...

Тут согласен, ломает человеческие судьбы не и задумывается о последствиях для этих людей, и кармы не боится, а я верю что она все вернет.

На счет кредитных средств я знаю так же схему, когда мошенники просто выманивали у жертвы пин код от кредитной карты и снимали весь доступный лимит, это немного отступление, потому что афера не касается криптовалют, но тут так же затрагивается этот моральный аспект, жертва теряла деньги, которых у нее нет и в итоге нужно было отдавать их с процентами.

[jokers10]

Получил аж два письма от Trust Wallet с уведомлением о том, что срочно нужно верифицироваться, а то неверифицированные аккаунты будут заморожены.

Это мошенники!

Раньше аналогичные письма рассылались от имени MetaMask, теперь и Trust Wallet, видимо, стал уже достаточно популярным.

Во-первых, никогда не переходите ни по каким ссылкам из писем!!! Особенно незапрошенных писем. Это практически всегда мошенники и фишинг!
Во-вторых, при регистрации в Trust Wallet не требуется ввод электронной почты, поэтому они никак не смогли бы разослать подобное письмо, они не знают вашей электронной почты!
В-третьих, Trust Wallet не требует верификации. Если сомневаетесь, зайдите на форуме в тему Trust Wallet (или любой другой проект, если от имени другого проекта придёт что-то, в чём не до конца уверены; или даже в этой теме спросите: лучше лишний раз спросить, чем один раз всё потерять) и спросите, что делать, более опытные форумчане подскажут. Зайдите напрямую на сайт Trust Wallet (не по ссылке из письма, а набрав адрес в браузере напрямую!) и задайте вопрос техподдержке.

Dear customer,
Our system has shown that your Trust Wallet has not yet been verified.
This verification can be done easily via the page below.
Due to the new update of NFT's, all unverified accounts will be suspended
on Monday, September 4, 2023.
We're sorry for any inconvenience we cause with this, but please keep in mind that our intention is to keep our customers safe and happy.
Thank you for your understanding.
Verify your wallet
If the button above doesn't work, try the page below:
[(link-relay)]
For further assistance with this issue please contact our support team.

Ещё раз: не переходите по ссылкам из писем!

[andy_pelevin]

Получил аж два письма от Trust Wallet с уведомлением о том, что срочно нужно верифицироваться, а то неверифицированные аккаунты будут заморожены.

Это мошенники!

....

Ещё раз: не переходите по ссылкам из писем!

Я завёл себе несколько аккаунтов для подписок на сервисы, связанные с финансами, и завёл в них отдельные папки для разных сервисов,... при такой организации все письма автоматически верифицируются и сортируются. Все письма не попавшие в специальные папки помечаются, как спам и удаляются. Возможно я и пропустил какую нибудь важную информацию пришедшую не из основного адреса для рассылок того или иного сервиса, но я точно в разы уменьшил вероятность фишинга.

[witcher_sense]

Я завёл себе несколько аккаунтов для подписок на сервисы, связанные с финансами, и завёл в них отдельные папки для разных сервисов,... при такой организации все письма автоматически верифицируются и сортируются. Все письма не попавшие в специальные папки помечаются, как спам и удаляются. Возможно я и пропустил какую нибудь важную информацию пришедшую не из основного адреса для рассылок того или иного сервиса, но я точно в разы уменьшил вероятность фишинга.

Такой подход еще и полезен тем, что помогает выявить полумошеннические сервисы, которые зарабатывают на продаже данных клиентов, а иногда просто входят в долю с криптомошенниками. Если использовать отдельный адрес для каждого сервиса, то приходящий на адрес спам будет служить индикатором: от такого сервиса стоит немедленно отказаться во избежание потери средств. Сейчас предложений по так называемым "email alias" очень много и большинство имеют бесплатную версию с несколькими десятками имейл-адресов. Если не хочеится платить, то можно зарегистрировать несколько аккаунтов и соответственно несколько бесплатных версий.

[andy_pelevin]

...
Если использовать отдельный адрес для каждого сервиса, то приходящий на адрес спам будет служить индикатором: от такого сервиса стоит немедленно отказаться во избежание потери средств. Сейчас предложений по так называемым "email alias" очень много и большинство имеют бесплатную версию с несколькими десятками имейл-адресов. Если не хочеится платить, то можно зарегистрировать несколько аккаунтов и соответственно несколько бесплатных версий.

Заводить на каждый сервис отдельный аккаунт - слишком хлопотно(у меня таких потребовалось бы более трёх десятков), да и для чтения входящих сообщений  из кучи акков надо городить какое нибудь решение,... а отдельными папками управиться значительно проще.

...
Раньше аналогичные письма рассылались от имени MetaMask, теперь и Trust Wallet, видимо, стал уже достаточно популярным
...

MetaMask, не требует указывать e-mail при создании кошелька, соответственно, ни каких писем от его не может быть, в принципе. на странице поддержки MetaMask можно оформить подписку на новые материалы по теме, но ни какого обязательного указания адреса MetaMask не требует
Trust Wallet я не пользуюсь, но думаю там тоже e-mail не регистрируется...

[witcher_sense]

Заводить на каждый сервис отдельный аккаунт - слишком хлопотно(у меня таких потребовалось бы более трёх десятков), да и для чтения входящих сообщений  из кучи акков надо городить какое нибудь решение,... а отдельными папками управиться значительно проще.

Нет, там принцип немного другой. Вы регистрируете аккаунт с одним имейлом и этот имейл используется для создания всех других имейлов. То есть у вас будет 30 разных адресов на всех сервисах и все письма на эти адреса приходят на один адрес, где будет указано какой именно адрес получил письмо. Это своего рода псевдонимы для реального адреса, который в свою очередь остается неизвестным мошеннику.

MetaMask, не требует указывать e-mail при создании кошелька, соответственно, ни каких писем от его не может быть, в принципе. на странице поддержки MetaMask можно оформить подписку на новые материалы по теме, но ни какого обязательного указания адреса MetaMask не требует
Trust Wallet я не пользуюсь, но думаю там тоже e-mail не регистрируется...

Мошенники просто предполагают, что юзер интересующийся альткоинами также имеет установленный кошелек Метамаск. Это вполне логичное предположение, и сам Метамаск здесь совершенно не при чем, он писем не рассылает, так как даже адресов не спрашивает.

Я пробежался по этим обменникам, которые участвуют в этих арбитражных сделках:

- JASNEP
- DEZBI
- Bozof
- lveeb
- ltonce
- Glodaz
- Pervon
- Teplux
- Stenzor
- FrinZon
- Venuke
- boloMEE
- VONROMA

Доменные имена конечно зачетные, смысла в них вообще ноль. Видимо, мошенники выбирали варианты подешевле, отсюда и в названии обменников какие-то рандомные слова.

[jokers10]

Вот в историях с хакерами прямо сложно и представить, как полностью уберечься от их атак. Вот из истории подростка-хакера Ахмада Вагаафе Хареда я бы сделал вывод, что не надо завязывать все варианты безопасности своих аккаунтов только на своём телефоне. Номер телефона может быть скомпрометирован, даже если вы его не теряете и никому не передаёте.

Паренёк просто связывался с операторами мобильной связи и убалтывал операторов, уверяя, что он потерял доступ к своему номеру, и они подключали эти номера на его симки. (Кстати, подобные схемы и в России проскальзывали в новостях, так что это не уникальный случай.) Потом он последовательно пытался взламывать разные аккаунты, привязанные к этим номерам, и в итоге взламывал и криптокошельки, из которых увёл довольно приличные суммы. Когда его поймали, то под изъятие попали 119,8 биткойнов и BMW спортивного класса за 60к баксов. Вряд ли это покроет все убытки, так что лучше, конечно, не попадаться под руку таким ушлым ребятам. Но хорошо, что в итоге хотя бы поймали.


Ну, и из пойманных, ещё одну пирамидку закрыли в РФ. Виталий Соколовский запустил свою пирамидку под видом инвестиционного фонда «Благополучие» сразу в нескольких городах. Вклады принимал под видом инвестирования в крипту сразу миллионами, открыл под видимость работы криптобиржу Intelex, но после пары лет мошеннических действий всё-таки попался.

Оценочно ущерб может достигать сотен миллионов рублей или даже больше. Вот казалось бы... если кто-то легально решит заниматься криптой, то тут же получит себе на голову кучу неприятностей, а такие вот «инвестфонды» выманивают огромные деньги и имеют физические офисы в крупных городах страны... Но тут уж без достаточного образования, чтобы люди понимали, что такое крипта, и при желании инвестировали в биткойн самостоятельно, ИМХО сложно уж что-то сделать. Несли, несут и будут нести мошенникам миллионы... Жесть!